Một lỗ hổng bảo mật nghiêm trọng trên Instagram vừa bị phát hiện, cho phép kẻ tấn công chiếm đoạt tài khoản chỉ với tên người dùng (username). Phương thức này lợi dụng AI hỗ trợ của Meta (META) để thay đổi email khôi phục mà không cần bất kỳ xác thực nào khác.

Cách thức tấn công đơn giản đến khó tin

Đầu tiên, hacker dùng VPN hoặc proxy giả vị trí gần nạn nhân, sau đó yêu cầu AI của Meta gửi mã xác thực đến email do chúng kiểm soát. Điều đáng nói, AI không kiểm tra email đó có từng được liên kết với tài khoản hay không. Sau khi nhận mã, kẻ tấn công hoàn tất quy trình đặt lại mật khẩu và chiếm toàn quyền kiểm soát.

Đáng lo ngại hơn, ngay cả xác thực hai yếu tố (2FA) cũng bị vô hiệu hóa hoàn toàn. Người dùng không nhận được thông báo nào qua email, SMS hay push. Khi mất quyền truy cập, nạn nhân không có cách nào liên hệ với nhân viên hỗ trợ thực tế, chỉ có thể cãi nhau với chatbot AI.

Bùng nổ chợ đen và hậu quả thực tế

Các nhóm Telegram chuyên cung cấp dịch vụ chiếm đoạt tài khoản nhanh chóng xuất hiện, nhắm vào những tài khoản có username ngắn, vốn có giá trị lên tới hàng trăm nghìn đến hàng triệu USD. Một số tài khoản nổi tiếng như obamawhitehouse và Chief Master Sergeant của Lực lượng Không gian Mỹ đã bị chiếm đoạt và dùng để phát tán nội dung tuyên truyền.

May mắn, Meta đã vá lỗ hổng sau khi vụ việc gây chú ý. Tuy nhiên, sự cố này cho thấy rủi ro của việc phụ thuộc quá nhiều vào AI trong các quy trình bảo mật quan trọng. Với người dùng phổ thông, bài học là hãy luôn kích hoạt 2FA và theo dõi thông báo từ công nghệ và AI để bảo vệ tài khoản.